【Golang安全编码】gosec常见规则的解决办法

Secure Go - A project devoted to secure programming in the Go language，

gosec - Golang Security Checker为go语言安全编码的github，其默认提供了如下规则。在扫描过程中，我们针对部分中签的规则，找到了一些安全编码的解决办法。

万能解决办法

如果gosec报告已手动验证为安全的，则可以使用如下“#nosec”来注释代码。扫描的时候可通过参数指定忽略该注释代码。个人不建议使用此方法，毕竟代码合规最重要。

import "md5" // #nosec  func main(){/* #nosec */if x > y {h := md5.New() // this will also be ignored}
}// 以上是不建议使用的。
// 如果使用，你需要执行命令来运行扫描程序以及忽略#nosec注释：$ gosec -nosec=true ./...

G101: Look for hard coded credentials
G102: Bind to all interfaces
G103: Audit the use of unsafe block
G104: Audit errors not checked

反例：

json.Unmarshal(b, &xxxx) // warning: Errors unhandled.

解决办法：handle error

 err := json.Unmarshal(b, &xxxx) // or : _ = json.Unmarshal(b, &xxxx) if err != nil {return errors.Wrap(err, "Unmarshal xxxx failed, jsonStr")}

G105: Audit the use of math/big.Int.Exp
G106: Audit the use of ssh.InsecureIgnoreHostKey
G107: Url provided to HTTP request as taint input
G201: SQL query construction using format string

反例：

fmt.Sprintf("INSERT INTO %s (%s) VALUES (%s)",schema.Name, head, value)  // warnning

解决办法：把大写的WHERE、INSERT INTO等（sql语句关键字：SELECT FROM、 WHERE、 INSERT INTO、 UPDATE、 DELETE FROM）改成小写where、insert into

fmt.Sprintf("insert into %s (%s) values (%s)",schema.Name, head, value)

G202: SQL query construction using string concatenation
G203: Use of unescaped data in HTML templates
G204: Audit use of command execution

反例：

out, err := exec.Command("docker","run", "-d", "--net=host", "--entrypoint=/usr/local/bin/h2load", "gohttp2/curl")...).Output()  // Subprocess launched with variableif err != nil {t.Skipf("Failed to run h2load in docker: %v, %s", err, out)}

解决办法：将后面的参数使用append([]string{}, args...)

out, err := exec.Command("docker", append([]string{"run", "-d", "--net=host", "--entrypoint=/usr/local/bin/h2load", "gohttp2/curl"}, args...)...).Output()if err != nil {t.Skipf("Failed to run h2load in docker: %v, %s", err, out)}

G301: Poor file permissions used when creating a directory
G302: Poor file permissions used with chmod

反例：

os.OpenFile(logName, os.O_CREATE|os.O_RDWR|os.O_APPEND, 0664) // Expect file permissions to be 0600 or less

解决办法：降低权限，如果必须要0664，可以将0664改为0600|0064

os.OpenFile(logName, os.O_CREATE|os.O_RDWR|os.O_APPEND, 0600|0064)

G303: Creating tempfile using a predictable path

G304: File path provided as taint input

反例：

func File2lines(filePath string) ([]string, error) {f, err := os.Open(filePath) //Warning hereif err != nil {return nil, err}defer f.Close()return linesFromReader(f)
}

解决办法：将路径/文件参数用path.Clean()或filepath.Clean()进行校验，注意必须in line

func File2lines(filePath string) ([]string, error) {f, err := os.Open(filepath.Clean(filePath)) //check file pathif err != nil {return nil, err}defer f.Close()return linesFromReader(f)
}

G305: File traversal when extracting zip archive
G401: Detect the usage of DES, RC4, MD5 or SHA1
G402: Look for bad TLS connection settings

G403: Ensure minimum RSA key length of 2048 bits
G404: Insecure random number source (rand)
G501: Import blacklist: crypto/md5
G502: Import blacklist: crypto/des
G503: Import blacklist: crypto/rc4
G504: Import blacklist: net/http/cgi
G505: Import blacklist: crypto/sha1

反例：

import ("crypto/des""crypto/md5""crypto/rc4"
)

解决办法：升级加密算法。否则使用“#nosec”来注释代码。安全备案。

【Golang安全编码】gosec常见规则的解决办法相关推荐

Android 常见异常及解决办法
Ø 前言本文主要记录 Android 的常见异常及解决办法,以备以后遇到相同问题时可以快速解决. 1. java.lang.NullPointerException: Attempt to i ...
VS2019运行OpenGL时出现的常见错误及解决办法
OpenGL程序在低版本的VS中运行成功,但在VS2019中运行却出现各种错误,以下是常见错误的解决办法.(文章结尾有库的链接哟~) 问题一:无法打开文件"glaux.lib" 解 ...
VLOOKUP常见错误及解决办法
35-VLOOKUP常见错误及解决办法 2021-08-18 13:11 VLOOKUP是一个非常实用的查找函数,但在实际使用过程中,往往会出现这样那种的错误而得到不正确的结果. [这里备注下,如果你 ...
金蝶专业版过账提示运行时错误5_金蝶专业版过账提示运行时错误5_金蝶KIS专业版常见故障及解决办法...
金蝶KIS专业版常见故障及解决办法金蝶KIS专业版常见故障有哪些你知道吗?你对金蝶KIS专业版常见故障了解吗?你知道如何解决金蝶KIS专业版常见故障吗?下面是yjbys小编为大家带来的关于金蝶KIS ...
php源码安装失败,php编译安装常见错误及解决办法
php编译安装常见错误及解决办法 1.configure: error: No curses/termcap library found 网上有的说法是:–with-named-curses-libs ...
得力计算机无法开机,得力碎纸机维修常见故障及解决办法分享
碎纸机中,得力品牌的我们也是没少见了,得力碎纸机近几年也是得到大家的认可.所有东西用久了都会出现故障,所以今天小编整理了得力碎纸机维修常见故障及解决办法,供大家参考~ 得力碎纸机维修常见故障及解决办法 ...
错误651dns服务器未响应,网络常见错误代码及解决办法.doc
网络常见错误代码及解决办法,678错误代码解决办法,错误代码651解决办法,769错误代码解决办法,691错误代码解决办法,宽带常见错误代码,http常见错误代码,常见错误代码,宽带连接常见错误代码, ...
MATLAB等号错误为啥,Matlab常见错误及解决办法归纳
Matlab常见错误及解决办法归纳 1.Subscript indices must either be real positive integers or logicals 中文解释:下标索引必须是 ...
创建与使用DLL项目常见错误和解决办法
前面讲原理有点啰嗦,如果直接看创建和使用DLL,直接跳转到[DLL项目创建]. DLL 在Windows中,许多应用程序并不是一个完整的可执行文件,它们被分割成一些相对独立的动态链接库,即DLL文件, ...

【Golang安全编码】gosec常见规则的解决办法

万能解决办法

G104: Audit errors not checked

G201: SQL query construction using format string

G204: Audit use of command execution

G301: Poor file permissions used when creating a directory

G302: Poor file permissions used with chmod

G303: Creating tempfile using a predictable path

G304: File path provided as taint input

G402: Look for bad TLS connection settings

G501: Import blacklist: crypto/md5

G502: Import blacklist: crypto/des

G503: Import blacklist: crypto/rc4

G504: Import blacklist: net/http/cgi

G505: Import blacklist: crypto/sha1

【Golang安全编码】gosec常见规则的解决办法相关推荐

最新文章

热门文章